Kostenloses Tool

Passwort geleakt? Hier sicher prüfen

Dieses Werkzeug zeigt, wie oft ein Passwort in Datenlecks vorkommt. Ihr Passwort bleibt auf Ihrem Gerät, nur 5 Zeichen seines SHA-1-Fingerabdrucks gehen an Pwned Passwords.

Von · · · Datenquelle: Pwned Passwords (Have I Been Pwned) · Methodik

Hinweis

Ihr Passwort verlässt das Gerät nicht. Der Browser berechnet daraus einen SHA-1-Fingerabdruck und schickt nur dessen erste 5 Zeichen an den Dienst Pwned Passwords (Have I Been Pwned). Der Abgleich passiert danach in Ihrem Browser. Die Auskunft folgt der Datenbank Pwned Passwords. Treffer heißt aufgetaucht, kein Treffer heißt nicht sicher: Die Datenbank kennt nur Passwörter aus öffentlich gewordenen Lecks. Wie sie zählt, steht an der Quelle. Ändern Sie ein betroffenes Passwort überall, wo Sie es nutzen. Für Vollständigkeit und Richtigkeit übernehmen wir keine Gewähr; Stand siehe „Zuletzt geprüft“.

Fehler gefunden? Problem melden

So prüfen Sie, ob Ihr Passwort geleakt wurde

Geben Sie das Passwort oben in das Feld ein und klicken Sie auf „Prüfen“. Nach wenigen Sekunden steht dort, wie oft es in der Datenbank Pwned Passwords vorkommt. Sie sammelt Passwörter aus öffentlich gewordenen Datenlecks und wird vom Dienst Have I Been Pwned betrieben. Mit „Anzeigen“ blenden Sie die Eingabe ein, falls Sie sich vertippt haben. Nach dem Ergebnis leert sich das Feld von selbst, „Feld leeren“ setzt alles zurück. Die Seite speichert nichts und führt keinen Verlauf.

Ein Beispiel zum Nachvollziehen: Für das Passwort „password“ meldete der Dienst am 17.10.2026 52.372.427 Treffer. Sein Fingerabdruck beginnt mit 5BAA6. Genau diese fünf Zeichen sehen Sie nach der Prüfung im Kasten „Was gesendet wurde“. Im Netzwerk-Reiter der Entwicklerwerkzeuge (F12) erscheint dann die Anfrage an api.pwnedpasswords.com/range/5BAA6 ohne Inhalt. Beim ersten Mal steht davor eine OPTIONS-Vorabfrage des Browsers an dieselbe Adresse, auch sie enthält nur diese fünf Zeichen.

Wer einer fremden Seite kein Passwort anvertrauen will, hat recht damit. Geben Sie dann kein aktuelles Passwort ein. Prüfen Sie im Zweifel lieber direkt in Ihrem Passwort-Manager, viele haben diese Funktion eingebaut. Wie Sie einen einrichten, steht im Ratgeber Passwort-Manager einrichten.

Warum Ihr Passwort das Gerät nicht verlässt (k-Anonymität)

Der Browser rechnet Ihr Passwort in einen SHA-1-Fingerabdruck um, einen 40-stelligen Hexwert, und sendet nur dessen erste 5 Zeichen an den Dienst, der alle bekannten Endungen mit diesem Anfang samt Füllzeilen zurückschickt. Ob Ihre Endung darunter ist, prüft allein Ihr Browser. Weder das Passwort noch der volle Fingerabdruck werden übertragen.

So bleibt Ihr Passwort im Browser Vier Schritte: Passwort bleibt im Browser. Der Browser bildet den SHA-1-Fingerabdruck. Nur die ersten 5 Zeichen, hier 5BAA6, gehen an Pwned Passwords. Der Dienst antwortet mit allen Endungen zu diesem Anfang, und der Browser sucht dort die eigene. 1. Ihr Gerät Passwort: bleibt im Browser 2. SHA-1-Fingerabdruck (im Browser) 5BAA61E4C9B93F3F0682250B6C… 3. An Pwned Passwords geht nur /range/5BAA6 (5 Zeichen) 4. Antwort: viele Endungen Der Browser sucht dort Ihre Endung.
Der Dienst erfährt nur die 5 Zeichen. Welche der zurückgeschickten Endungen zu Ihnen passt, weiß nur Ihr Browser.

Zum Datenschutz auf dieser Seite: Gezählt wird nur, dass eine Prüfung stattgefunden hat, ohne jeden Inhalt. Wie alle kostenlosen Werkzeuge dieser Website lädt die Seite je nach Ihrer Auswahl im Einwilligungsdialog Google Analytics und Google AdSense. Ihr Passwort wird an keinen dieser Dienste übertragen: Das Feld liegt in einem abgeschotteten Rahmen, auf den deren Skripte keinen Zugriff haben. Einzelheiten stehen in der Datenschutzerklärung.

Was ein Treffer bedeutet

Ein Treffer heißt: Genau diese Zeichenfolge stand schon einmal in einem Datenleck, bei irgendeinem Dienst und bei irgendjemandem. Es heißt nicht, dass Ihr Konto gehackt wurde. Es heißt, dass Angreifer das Passwort kennen und bei fremden Konten durchprobieren. Je höher die Zahl, desto häufiger wurde es benutzt und desto früher steht es auf solchen Listen. Die Datenbank enthält nur Passwörter und ihre Häufigkeit, keine Namen und keine E-Mail-Adressen. Sie verrät also nicht, wem ein Passwort gehörte oder bei welchem Dienst es erbeutet wurde.

Kein Treffer heißt nicht: sicher. Die Datenbank kennt nur Passwörter aus Lecks, die öffentlich wurden. Ein kurzes oder leicht zu erratendes Passwort bleibt auch ohne Treffer schwach, und ein Passwort, das ein Schadprogramm mitgelesen hat, muss in keiner Liste stehen. Dazu kommt die Wiederverwendung: Ein Passwort, das Sie bei drei Diensten nutzen, ist so sicher wie der schwächste davon. Eine Stärkebewertung gibt die Seite bewusst nicht ab.

Dass der Abgleich mit solchen Listen üblich ist, zeigt der Standard NIST SP 800-63B-4: Abschnitt 3.1.1.2 verlangt von Diensten, neue Passwörter gegen eine Sperrliste kompromittierter Passwörter zu prüfen. Ihre Prüfung hier ist dasselbe Verfahren, nur aus Nutzersicht.

Passwort geleakt: was jetzt zu tun ist

Die Schritte gehen von dem Passwort aus, das Sie eben geprüft haben. Arbeiten Sie sie in dieser Reihenfolge ab.

  1. Passwort ändern. Beginnen Sie bei dem Konto, dessen Passwort betroffen ist, und beim E-Mail-Konto, über das sich viele andere Zugänge zurücksetzen lassen.
  2. Überall ändern, wo es noch gilt. Gehen Sie Online-Banking, Zahlungsdienste, Shops mit gespeicherten Karten und soziale Netzwerke durch.
  3. Zweiten Faktor einschalten. Eine Authenticator-App oder ein Passkey schützt auch dann, wenn ein Passwort bekannt ist.
  4. Neues Passwort erzeugen. Ein Zufallspasswort aus dem Passwort-Generator oder aus Ihrem Passwort-Manager ist besser als jede Abwandlung des alten.
  5. Konto prüfen. Der Ratgeber E-Mail-Konto gehackt: was in der ersten Stunde zählt führt durch Anmeldeprotokoll, Weiterleitungen und Wiederherstellungsangaben.

Woran man ein gehacktes Konto erkennt

Die klaren Zeichen sind meist Hinweise von außen: eine Warnung über eine Anmeldung von einem unbekannten Gerät oder Ort, eine Mail zum Zurücksetzen des Passworts, die Sie nicht angefordert haben, oder Bekannte, die Spam von Ihrer Adresse bekommen. Im Postfach lohnt der Blick in den Ordner „Gesendet“ und in die Regeln und Weiterleitungen. Dort richten Angreifer gern stille Umleitungen ein. Bei Shops und Zahlungsdiensten fallen unbekannte Bestellungen und Abbuchungen auf.

Ob Ihr Computer selbst betroffen ist, zeigt der PC-Sicherheitscheck. Wie Betrugsmails aussehen, mit denen Passwörter überhaupt erst abgegriffen werden, üben Sie im Phishing-Quiz. Fehlen alle diese Zeichen, kann das Konto trotzdem betroffen sein. Ein bekanntes Passwort ist Grund genug, es zu ersetzen.

E-Mail-Adresse in Datenlecks prüfen

Dieses Werkzeug prüft Passwörter, keine E-Mail-Adressen und keine Konten. Für Adressen gibt es zwei etablierte Wege: den Identity Leak Checker des Hasso-Plattner-Instituts und Have I Been Pwned, die Seite hinter der Passwort-Datenbank. Geben Sie eine Adresse nur dort ein, nicht hier. Die Passwort-Datenbank selbst und das Abfrageverfahren beschreibt die API-Dokumentation von Have I Been Pwned.

Gute Passwörter für die Zukunft

Lang schlägt kompliziert: Mehrere zufällige, nicht zusammenhängende Wörter sind leichter zu merken und schwerer zu knacken als ein kurzes Gebilde mit Sonderzeichen. Für Konten, bei denen Sie nichts merken müssen, nehmen Sie ein Zufallspasswort aus dem Passwort-Manager. Wichtiger als jede Regel ist, dass jedes Konto ein eigenes Passwort hat. Dann bleibt ein Leck auf einen Dienst begrenzt. Wo ein Dienst Passkeys anbietet, ersetzen sie das Passwort ganz: Es gibt dann kein geheimes Passwort mehr, das in einer Datenbank liegen und geleakt werden könnte. Prüfen Sie auch ein neues Passwort hier, bevor Sie es verwenden. Das Ergebnis sollte „Kein Treffer“ lauten.

Häufige Fragen

Wie finde ich heraus, ob meine Daten geleakt wurden?

Für Passwörter nutzen Sie dieses Werkzeug. Für E-Mail-Adressen gibt es den Identity Leak Checker des Hasso-Plattner-Instituts und den Dienst Have I Been Pwned. Auch Browser und Passwort-Manager warnen heute, wenn ein gespeichertes Passwort in einem Leck auftaucht. Kein Dienst kennt alle Lecks. Kein Treffer ist deshalb keine Entwarnung.

Wie merkt man, dass das Konto gehackt wurde?

Typische Anzeichen sind Hinweise auf Anmeldungen von unbekannten Geräten, Mails zum Zurücksetzen des Passworts, die Sie nicht angefordert haben, gesendete Nachrichten, die Sie nicht geschrieben haben, neue Weiterleitungen im Postfach, unbekannte Bestellungen oder Abbuchungen und ein Passwort, das plötzlich nicht mehr passt. Fehlen solche Zeichen, ist das keine Garantie. Ändern Sie das Passwort im Zweifel trotzdem.

Wie sehe ich, ob sich jemand in mein Handy gehackt hat?

Eine sichere Antwort gibt es nicht. Auffällig sind Apps, die Sie nicht installiert haben, ein ungewöhnlich hoher Akku- oder Datenverbrauch, Werbefenster außerhalb des Browsers und Bestätigungscodes, die Sie nicht angefordert haben. Das kann auch harmlose Ursachen haben. Bei einem Verdacht ändern Sie zuerst die Passwörter Ihrer wichtigsten Konten von einem anderen Gerät aus und lassen das Handy prüfen. Ob Ihr Computer betroffen ist, zeigt der PC-Sicherheitscheck. Was bei einem gehackten Konto zuerst zählt, steht im Ratgeber „E-Mail-Konto gehackt: was in der ersten Stunde zählt“.

Was tun, wenn Daten geleakt wurden?

Ändern Sie zuerst das Passwort des betroffenen Kontos und überall, wo Sie dasselbe verwendet haben, beginnend mit E-Mail-Konto und Online-Banking. Schalten Sie einen zweiten Faktor ein und prüfen Sie das Konto auf fremde Aktivität. Bei geleakten Zahlungsdaten sprechen Sie Ihre Bank an. Seien Sie in den nächsten Wochen vorsichtig bei Mails, die Ihre Daten kennen.

Was bedeutet „Passwort geleakt“?

Das Passwort stand in einer Datenbank, die bei einem Angriff auf einen Dienst erbeutet und später veröffentlicht oder weitergegeben wurde. Die Zeichenfolge ist damit bekannt, und Angreifer probieren sie bei anderen Diensten durch. Es heißt nicht, dass gerade Ihr Konto gehackt wurde, aber das Passwort sollte nirgends mehr im Einsatz sein.

Ist es sicher, mein Passwort auf einer Webseite zu prüfen?

Bei diesem Werkzeug ja, weil Ihr Passwort das Gerät nicht verlässt. Der Browser rechnet es in einen SHA-1-Fingerabdruck um und sendet nur dessen erste 5 Zeichen. Im Kasten „Was gesendet wurde“ sehen Sie genau diese 5 Zeichen. Wer trotzdem zögert, gibt kein aktuelles Passwort ein oder prüft in seinem Passwort-Manager, der diese Funktion oft eingebaut hat.

Das Ergebnis stammt aus der Datenbank Pwned Passwords und gilt für den Abfragezeitpunkt. Ein Treffer heißt, dass das Passwort in einem Datenleck aufgetaucht ist. Kein Treffer heißt nicht, dass es sicher ist. Die Seite bewertet weder die Stärke eines Passworts noch prüft sie E-Mail-Adressen oder Konten. Für die Daten des Dienstes übernehmen wir keine Gewähr.